אבטחת מידע לעסקים קטנים — מה באמת צריך

אילו חובות אבטחת מידע חלות על עסק קטן?

החובה לא נגזרת מגודל העסק אלא מעצם קיומו של מאגר מידע. תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017 חלות על כל מאגר מידע דיגיטלי — רשימת לקוחות, תיקי עבודה, יומן תורים — ותחולתן אינה תלויה כלל בשאלה אם המאגר חייב ברישום.

זו התפיסה השגויה שהכי חשוב לתקן: תיקון 13 לחוק הגנת הפרטיות אמנם צמצם מאוד את חובת הרישום, אבל חובת האבטחה נשארה במקומה — ומאז 14 באוגוסט 2025 הרשות להגנת הפרטיות מוסמכת לאכוף אותה בעיצומים כספיים, בלי הליך פלילי. הרחבנו על כך במאמר על תיקון 13 לחוק הגנת הפרטיות.

והחדשות הטובות: התקנות לא דורשות מכולם אותו דבר. הן מדרגות את הדרישות לפי רגישות המידע והיקפו — והמדרגה של עסק קטן נמוכה בהרבה ממה שנהוג לצייר.

באיזו רמת אבטחה נמצא עסק קטן?

תקנה 1 קובעת ארבעה מסלולים: מאגר המנוהל בידי יחיד, ורמות אבטחה בסיסית, בינונית וגבוהה. השיוך נקבע לפי סוג המידע, מספר האנשים שיש עליהם מידע ומספר בעלי ההרשאה — לא לפי המחזור של העסק.

המסלול הקל ביותר הוא ״מאגר המנוהל בידי יחיד״ — מאגר שמנהל יחיד או תאגיד בבעלות יחיד, כשרק היחיד ולכל היותר שני בעלי הרשאה נוספים משתמשים בו. אבל תקנה 1 מוציאה ממנו במפורש מאגר עם מידע על 10,000 אנשים ומעלה, מאגר של סוחר מידע — ומאגר הכולל מידע הכפוף לחובת סודיות מקצועית. עורך דין, רופא או מטפל לא ייכנסו למסלול הזה גם כשהם עובדים לגמרי לבד.

רמת האבטחה הבינונית חלה, לפי התוספת הראשונה, על מאגרים עם מידע רגיש — רפואי ונפשי, גנטי, ביומטרי, מידע על מצב כלכלי, עבר פלילי, דעות פוליטיות ואמונות דתיות ועוד. על הנייר זה תופס כמעט כל עסק שמחזיק משהו מעבר לשם וטלפון.

וכאן ההקלה שהכי חשוב להכיר: פרט 2(2) לתוספת הראשונה מחזיר מאגר כזה לרמה הבסיסית אם מספר בעלי ההרשאה אצל בעל המאגר אינו עולה על עשרה. במילים פשוטות — עסק שבו עד עשרה אנשים ניגשים למידע נמצא כמעט תמיד ברמה הבסיסית, גם כשהמידע עצמו רגיש.

רמת האבטחה הגבוהה שמורה, לפי התוספת השנייה, למאגרים רגישים עם מידע על 100,000 אנשים ומעלה או עם יותר מ-100 בעלי הרשאה — סדרי גודל אחרים לגמרי מכל עסק קטן.

מה נדרש בפועל ברמה הבסיסית?

תקנה 21 מפרטת אילו תקנות חלות על כל רמה. ברמה הבסיסית הרשימה קצרה ממה שנדמה, וזה עיקרה:

• מסמך הגדרות המאגר (תקנה 2) — תיאור קצר של איזה מידע נאסף, לאילו מטרות, מי מחזיק בו ומהם סיכוני האבטחה העיקריים; ופעם בשנה לבדוק שלא נשמר מידע רב מהנדרש.
• נוהל אבטחה (תקנה 4) — מסמך שמגדיר, בין השאר, אבטחה פיזית, הרשאות גישה והתמודדות עם אירוע אבטחה.
• הרשאות גישה לפי תפקיד (תקנה 8) — כל תפקיד רואה רק את מה שנדרש לו, עם רישום מעודכן של ההרשאות.
• זיהוי ואימות (תקנה 9) — לוודא שרק בעלי הרשאה נכנסים, ולבטל הרשאות מיד כשעובד מסיים תפקיד.
• מיון והדרכה (תקנה 7) — בירור התאמה והדרכה על החובות לפני שעובד מקבל גישה למידע.
• תיעוד אירועי אבטחה (תקנה 11) — כל חשד לשימוש חורג במידע או לפגיעה בו מתועד.
• מערכות מעודכנות (תקנה 13) — עדכונים שוטפים, ובלי מערכות שהיצרן הפסיק לתמוך בהן.
• הצפנה ותקשורת (תקנה 14) — העברת מידע ברשת ציבורית או באינטרנט בשיטות הצפנה מקובלות, וגישה מרחוק רק עם זיהוי ואימות.
• מיקור חוץ (תקנה 15) — ספק חיצוני שמקבל גישה למידע מחייב הסכם שמגדיר מה מותר לו ומה קורה למידע בסוף ההתקשרות.

שימו לב מה לא ברשימה: תיעוד גישה אוטומטי (תקנה 10), ביקורת תקופתית (תקנה 16) ונוהלי גיבוי ושחזור (תקנה 18) נדרשים רק מהרמה הבינונית ומעלה. זה לא אומר שגיבוי מיותר בעסק קטן — זה אומר שהרגולטור לא מעמיס על עסק קטן את מנגנוני הבקרה של ארגון גדול.

מה נפתר בתוכנה ומה דורש נוהל?

עכשיו החלק שחוסך כסף: רוב הרשימה למעלה היא בכלל לא ״פרויקט אבטחה״. במערכת שנבנתה נכון, הדרישות המערכתיות כבר קיימות בתוכנה עצמה — ומה שנשאר לעסק הוא כמה מסמכים קצרים שמשקפים את המציאות.

ההבחנה הזו היא גם מבחן קנייה. כשבוחנים מערכת ניהול — מדף או בהזמנה — השאלות הנכונות הן בדיוק שאלות התקנות: יש הרשאות לפי תפקיד? יש תיעוד? המידע מוצפן ומגובה? אם התשובה היא ״זה קיים בחבילה המורחבת״, זו לא מערכת שנבנתה עם אבטחה — זו מערכת שמוכרת אותה בנפרד. הרחבנו על העיקרון במאמר על מערכת שנבנית סביב העבודה שלכם.

למה קלסר נהלים לא שווה אבטחה?

יש תעשייה שלמה שמוכרת לעסקים קטנים ״עמידה בתקנות״ בצורת קלסר: עשרות עמודי נהלים גנריים, טבלאות סיכונים, הצהרות. הקלסר מתויק, והעסק ממשיך לעבוד באקסל משותף שכולם מכירים את הסיסמה שלו.

התקנות עצמן בנויות הפוך. רוב מה שהן דורשות ברמה הבסיסית קורה — או לא קורה — במערכת: הרשאות, אימות, הצפנה, עדכונים. נוהל שמתאר מציאות שלא קיימת לא רק שאינו מגן; הוא ראיה כתובה לכך שידעתם מה נדרש ולא עשיתם.

מינימום אמיתי של אבטחת מידע לעסק קטן נראה כך: המידע מרוכז במערכת אחת ולא מפוזר בין אקסל, וואטסאפ ותיבת מייל; לכל משתמש כניסה משלו והרשאות משלו; המידע מוצפן ומגובה; ויש מסמך הגדרות קצר שמתאר את מה שבאמת קורה. זה מרשים פחות מקלסר — וזה מה שעומד בבדיקה.

ב-appotto זו ברירת המחדל ולא תוספת: הרשאות לפי תפקיד, הצפנה וגיבויים נכנסים לכל פרויקט מהיום הראשון, וכל סוגיה של פרטיות ואבטחת מידע עוברת בדיקה משפטית מסודרת אצל היועץ המשפטי של בית התוכנה. את הרף הגבוה ביותר בנינו במערכת ה-CRM לעורכי דין, שבה חיסיון עורך-דין–לקוח מכתיב הפרדה מלאה בין תיקים והרשאות לכל תיק — ומי שעומד ברף הזה, הרמה הבסיסית כבר מזמן מאחוריו.

ואם אתם שוקלים להחליף את האקסל במערכת ורוצים להבין מה זה אומר תקציבית — מה מרכיב את עלות הפיתוח מוסבר בנפרד.